IE 浏览器安全级别详情及区别小结

2024-03-22 10:16:02 38

Windows7下IE9安全级别设置项如下表示。（留空代表同前一列的值，无变化）

类别属性中中-高高 .NETFramework XAML浏览器应用程序启用禁用禁用 XPS文档启用禁用松散XAML 启用禁用 .NETFramework相关组件带有清单的权限的组件高安全级禁用运行未用Authenticode签名的组件启用禁用运行已用Authenticode签名的组件启用禁用 ActiveX控件和插件 ActiveX控件自动提示禁用禁用对标记为可安全执行脚本的ActiveX控件执行脚本* 启用禁用对未标记为可安全执行脚本的ActiveX控件初始化并执行脚本禁用（推荐）禁用（推荐）二进制和脚本行为启用禁用仅允许经过批准的域在未经提示的情况下使用ActiveX 禁用启用启用下载未签名的ActiveX控件禁用（推荐）禁用（推荐）下载已签名的ActiveX控件提示（推荐）禁用允许ActiveX筛选启用启用允许Scriptlet 禁用禁用允许运行以前未使用的ActiveX控件而不提示启用禁用禁用运行ActiveX控件和插件启用禁用在没有使用外部媒体播放机的网页上显示视频和动画禁用禁用脚本 Java小程序脚本启用禁用活动脚本启用禁用启用XSS筛选器启用启用允许对剪贴板进行编程访问提示禁用允许网站使用脚本窗口提示获得信息启用禁用允许状态栏通过脚本更新启用禁用禁用其他持续使用用户数据启用禁用加载应用程序和不安全文件提示（推荐）提示（推荐）将文件上传到服务器时包含本地目录路径启用禁用禁用跨域浏览窗口和框架禁用禁用启用MIME探查启用禁用使用SmartScreen筛选器启用启用使用弹出窗口阻止程序启用启用特权较少的Web内容区域中的网站可以定位到该区域启用禁用提交非加密表单启用提示通过域访问数据源禁用禁用拖放或复制和粘贴文件启用提示显示混合内容提示提示允许METAREFRESH 启用禁用允许Microsoft网页浏览器控件的脚本禁用禁用允许脚本初始化的窗口，不受大小或位置限制禁用禁用允许网页使用活动内容受限协议提示禁用允许网站打开没有地址或状态栏的窗口启用禁用禁用在IFRAME中加载程序和文件提示（推荐）禁用只存在一个证书时不提示进行客户端证书选择禁用禁用启用.NETFramework安装程序启用禁用下载文件下载启用禁用字体下载启用禁用用户验证登录只在Intranet区域自动登录用户名和密码提示

其中，部分需要关注或科普的值如下。

XAML
ExtensibleApplicationMarkupLanguage，一种XML的用户界面描述语言，是.NETFramework中用来描述UI的。

http://zh.wikipedia.org/wiki/XAML
http://msdn.microsoft.com/en-us/library/ms752059.aspx

Scriptlet
Scriptlet是一种将一个页面打包成组件的轻量方法。如：

<OBJECTID="scrltCode2"
TYPE="text/x-scriptlet"
DATA="DateTime.html"
</OBJECT>

其中DateTime.html为一个包含完整功能的html页面。

http://msdn.microsoft.com/en-us/library/office/aa189871(v=office.10).aspx

Authenticode

一种对从web下载的应用的签名方法。
http://technet.microsoft.com/en-us/library/cc750035.aspx

XSS筛选器

自IE8增加的XSS保护功能。
http://windows.microsoft.com/zh-CN/internet-explorer/products/ie-8/features/safer?tab=ie8xss

允许对剪贴板进行编程访问
常用的“点击复制”类似的功能，需要考虑在禁用此项时的容错方案。

将文件上传到服务器时包含本地目录路径

若禁用，上传文件时将得到类似这样的地址：

C:\fakepath\xxxxxx.png

解决办法见后续文章。

MIME探查
通过探查MIME类型来确定文件类型。不会将文件类型提升为更危险的文件类型。例如，以纯文本接收的但包含HTML代码的文件将不会提升为HTML类型，因为其中可能包含恶意代码。

显示混合内容
即在HTTPS的页面中包含HTTP的请求时，会出现提示。

允许METAREFRESH
因此在做浏览器端的redirect时，不能仅做metarefresh，而需要使用下面的兼容方法：

<html>
<head>
<metahttp-equiv="refresh"content="0;url=https://www.nhooo.com/">
</head>
<body>
<scripttype="text/javascript">
window.location.href='https://www.nhooo.com/';
</script>
</body>
</html>

IE 浏览器安全级别详情及区别小结

热门推荐

随机推荐